Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Какое правило добавить для доступа к nginx в LAN ?

    Scheduled Pinned Locked Moved Russian
    35 Posts 4 Posters 3.9k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • werterW
      werter
      last edited by werter

      Алиас - эт хорошо. Только вы туда адреса и site.name и www.site.name вносите.

      И для портов 80 и 443 - тоже алиас, чтобы правила не плодить. Имя алиаса www_ports подойдет )

      M 1 Reply Last reply Reply Quote 0
      • M
        maxer @werter
        last edited by

        @werter В DNS Resolver в поле Domain Overrides заносить домены для split dns?

        Сорри за офф, но у меня проблема случилась со включенным dns resolver. За pfsense стоит еще Asterisk и resolver блокировал пакеты на исходящие вызовы, т.к. asterisk заворачивал исходящие звонки. Его можно в исключения будет добавить?

        1 Reply Last reply Reply Quote 0
        • werterW
          werter
          last edited by werter

          @maxyca said in Какое правило добавить для доступа к nginx в LAN ?:

          В DNS Resolver в поле Domain Overrides заносить домены для split dns?

          Там внимательно надо и смотреть по ситуации. Если у вас в сети есть собственный ДНС-сервер, то нужно в настройках резольвера на пф указать, что такой-то домен обслуживает такой-то ДНС-сервер с таким-то IP.
          Главное условие, чтобы пф выступал в роли ДНС-сервера для клиентов, т.е. его ip был 1-ым в сетевых настройках клиентов. Хорошо бы все ДНС-запросы клиентов заворачивать на ЛАН-адрес пф. Это не сложно сделать с пом. правила Port Forwd на ЛАН.

          и resolver блокировал пакеты на исходящие вызовы

          Причем тут резольвер?

          M 1 Reply Last reply Reply Quote 0
          • M
            maxer @werter
            last edited by

            @werter said in Какое правило добавить для доступа к nginx в LAN ?:

            Причем тут резольвер?
            Методом исключения выявил. Со включенным dns resolver блокировались исходящие вызовы на asterisk. Есть подозрения, что пакеты блокировал. Пока вернул forwarder, все стало норм. Буду копать...

            1 Reply Last reply Reply Quote 0
            • werterW
              werter
              last edited by werter

              @maxyca
              Не надо форвардер (dnsmasq) без надобности пользовать. Не зря резольвер вкл. по умолч. Попробуйте разобраться.

              1 Reply Last reply Reply Quote 0
              • VladislavKaluginV
                VladislavKalugin
                last edited by

                Здравствуйте!
                Скорее всего, ваш сайт конфликтует с веб-интерфесом роутера. Поменяйте порт веб-интерфейса на 8080 и проверьте заново.

                1 Reply Last reply Reply Quote 0
                • M
                  maxer
                  last edited by

                  Вообщем так и не получилось нормально DNS Resolver настроить. Т.е. он настроен, все работает, в Host Overrides я добавил домены и с www в алиасе в том числе. Но как без моего правила в NAT нельзя было зайти на сайты, которые находятся в локальном веб-сервере nginx - так и нельзя.

                  @werter Кстати по Вашей рекомендации тоже не работает :( т.е. именно Source - WAN, dest - Any. И всё! По-другому никак.

                  Понимаю, что где-то тупо пакеты не проходят обратно, но где - не могу разобраться. Помогите плз!!!

                  VladislavKaluginV 1 Reply Last reply Reply Quote 0
                  • VladislavKaluginV
                    VladislavKalugin @maxer
                    last edited by VladislavKalugin

                    This post is deleted!
                    1 Reply Last reply Reply Quote 0
                    • M
                      maxer
                      last edited by

                      Разобрался. Включил в System > Advanced > Firewall & NAT >Enable NAT Reflection for 1:1 NAT и Enable automatic outbound NAT for Reflection согласно руководству https://docs.netgate.com/pfsense/en/latest/book/nat/nat-reflection.html.
                      Теперь юзвери могут заходить по доменному имени на сайты, которые находятся на nginx в LAN без моих правил в NAT.

                      1 Reply Last reply Reply Quote 0
                      • werterW
                        werter
                        last edited by werter

                        @maxyca
                        Снова костыль. Снова в дом через окно.

                        1. Завернуть ВСЕ днс-запросы клиентов на лок. адрес пф правилом port forward.
                        2. Настроить на пф split dns.
                        3. Profit!
                        1 Reply Last reply Reply Quote 0
                        • M
                          maxer
                          last edited by

                          Теперь вроде не костыль :)

                          1. Снял 2 чекбокса в System > Advanced > Firewall & NAT >Enable NAT Reflection for 1:1 NAT и Enable automatic outbound NAT for Reflection
                          2. Создал правило:
                            alt text
                          3. В DNS Resolver создал Host overrides для всех доменов на локальный nginx
                            Теперь profit ? :))
                          1 Reply Last reply Reply Quote 0
                          • werterW
                            werter
                            last edited by werter

                            @maxyca
                            Src - LAN net
                            Dst -any
                            Redirect ip - локальный ip пф

                            В DNS Resolver создал Host overrides для всех доменов на локальный nginx

                            Скрин.

                            1 Reply Last reply Reply Quote 0
                            • M
                              maxer
                              last edited by

                              В source - LAN net - согласен, понял. А зачем в destination - any? Ведь запросы внутри LAN идут.
                              В redirect ip - как раз pfsense стоит, это алиас на него.

                              DNS Resolver:
                              alt text

                              1 Reply Last reply Reply Quote 0
                              • werterW
                                werter
                                last edited by werter

                                @maxyca said in Какое правило добавить для доступа к nginx в LAN ?:

                                А зачем в destination - any? Ведь запросы внутри LAN идут.

                                Еще раз. Пф ВНУТРИ сети ничего не регулирует. Возможно "регулирование" только между интерфейсами (LAN < - > WAN и т.д.)
                                DNS-запросы ко ВНЕШНИМ серверам заворачиваете - значит в Dst - any.

                                1 Reply Last reply Reply Quote 0
                                • M
                                  maxer
                                  last edited by

                                  @werter Благодарю за ответ! Сбила с толку еще инструкция - https://docs.netgate.com/pfsense/en/latest/dns/redirecting-all-dns-requests-to-pfsense.html

                                  В качестве бонуса помогите еще с загвоздкой. После всех манипуляций со включением DNS Resolver и переопределением хостов с ubuntu перестал работать phpmail (и sendmail). SMTP работает.
                                  В логе Ubuntu после отправки появляется ошибка:
                                  Feb 16 18:45:54 ubuntu sm-mta[29969]: 01GFjsjJ029967: to=****@mydomain.ru, delay=00:00:00, xdelay=00:00:00, mailer=esmtp, pri=120906, relay=mydomain.ru. [192.168.1.11], dsn=4.0.0, stat=Deferred: Connection refused by mydomain.ru.

                                  С DNS Forwarder проходит без проблем. Как возвращаюсь на Resolver - такая же ошибка. Чувствую, надо еще правило создавать?

                                  1 Reply Last reply Reply Quote 0
                                  • werterW
                                    werter
                                    last edited by werter

                                    @maxyca
                                    Релей вовне живет? Почему у него адрес серый? Может что напутали в host override? Или у вас и веб-сервер и релей на одном ip живут и одно имя имеют?

                                    M 1 Reply Last reply Reply Quote 0
                                    • M
                                      maxer
                                      last edited by maxer

                                      This post is deleted!
                                      1 Reply Last reply Reply Quote 0
                                      • M
                                        maxer @werter
                                        last edited by maxer

                                        @werter
                                        Схема следующая:
                                        alt text

                                        Проблемы на сегодняшний день следующие:

                                        1. При попытке отправить письмо через php или sendmail через Ubuntu в логе - Connection refused.
                                        2. Тоже самое при отправке сообщений через внутренний SMTP с Asterisk (PBX).
                                        3. При подключении через OpenVPN к pfSense клиенты не могут подключиться к Asterisk.

                                        Стоит только выключить DNS Resolver и включить DNS Forwarder - все начинает прекрасно работать. В Ubuntu в Resolver настроил, что DNS это IP pfSense. Все равно результата нет.
                                        Не понимаю куда еще копать... Буду очень признателен за совет.

                                        1 Reply Last reply Reply Quote 0
                                        • werterW
                                          werter
                                          last edited by werter

                                          перестал работать phpmail (и sendmail)
                                          relay=mydomain.ru.

                                          Вкл. debug в настройках на почтовике и смотрите, что там происходит. Может почтовый сервис привязан ко внешнему ip-адресу и ему локальный адрес 192,168,1,11 не нравится?

                                          При подключении через OpenVPN к pfSense клиенты не могут подключиться к Asterisk.

                                          Смотрите логи Астериска.

                                          1 Reply Last reply Reply Quote 0
                                          • M
                                            maxer
                                            last edited by

                                            @werter
                                            В связе Asterisk через OpenVPN - был поставлен чекбокс "Respond to incoming SSL/TLS queries from local clients" в DNS Resolver. Сейчас все клиенты подключаются успешно.

                                            Насчет RELAY, наш IP действительно привязан к почтовому сервису, т.к. у нас почта на доменах поступает в ящики mail.ru в рамках biz.mail.ru. В DNS для обслуживаемых доменах имеются SPF записи с указанием нашего белого IP.
                                            Я так думаю, что надо именно RELAY настроить в sendmail, чтобы все заработало))

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.